Chap : Securisattion des réseaux sans fils

Introduction
Comme vous avez pu vous en rendre compte, les réseaux sans fil sont assez complexes. De
nombreux protocoles fonctionnent ensemble pour offrir aux utilisateurs sans fil, une
connexion stable et mobile à une infrastructure de réseau câblé. Alors du point de vue de
l’utilisateur final, une connexion sans fil ne devrait pas être différente d’une connexion filaire.
Même si, la connexion filaire procure un meilleur sentiment de sécurité, parce que dans le sans-
fil, les données voyagent dans les airs, et peuvent être entendue par toute personne se trouvant
à portée… C’est pourquoi la sécurité dans un réseau sans fil devient très importante.
| Elle se concentre sur plusieurs points, qu’il faut analyser avec précaution. Il faut :
 Identifier les points de terminaison d’une connexion sans fil.
 Identifier l’utilisateur final.
 Il faut aussi protéger les données sans fil contre les écoutes et contre la
falsification. C’est-à-dire la modification des données.
Le point de l’identification sans fil se fait par diverses authentifications. Et celui de la protection
des données sans fil se sécurise avec du cryptage au niveau de la trame Ethernet.
Nous allons donc voir, plusieurs méthodes, qui permet de sécuriser un réseau sans fil. La
difficulté dans le chapitre du Wifi, c’est que c’est rempli d’acronymes :
(WEP, PSK, TKIP, MIC, AES, EAP, EAP-FAST, EAP-TLS, LEAP, PEAP, WPA, WPA2, WPA3,
CCMP, GCMP)
Alors pas de panique, à la fin du chapitre sur la sécurité du wifi, vous aurez une vision plus
claire, sur la signification de ces différents termes… Et vous serrez même prêt à configurer un
LAN sans fil avec une sécurité efficace.
1. Qu’est-ce qu’une connexion sécurisée ?
| Dans les cours précédents, nous avons vu, comment les clients sans fil formaient
des associations avec des points d’accès sans fil. Et aussi comment les données se
transmettaient dans les deux sens. Tant que tous les clients et points d’accès sont conformes à
la norme 802.11, ils peuvent tous communiquer.
Le problème c’est que tous les appareils 802.11 ne sont pas tous fiables…
Il peut arriver que les trames transmises n’aillent pas directement de l’émetteur au récepteur,
comme c’est le cas, dans une connexion filaire ou commutée. Avec le sans-fil, les données se
déplacent dans toutes les directions, à partir de l’antenne de l’émetteur, jusqu’à ce qu’un
récepteur à porter intercepte les données.
Sur l’image, on voit que le client sans fil ouvre une session avec le serveur de fichier qui se
trouve dans le cloud, et par ce faite, partage son mot de passe confidentiel. Comme les
données circulent dans l’air, il se peut que des utilisateurs malintentionnés, qui se trouvent
également à portée du signal du client, capturent les trames pour récupérer le mot de passe…
Alors, comment sécuriser les données qui circulent dans un espace ouvert ?
| C’est la norme 802.11 qui va permettre d’ajouter une couche de sécurité aux données sans fil,
en ajoutant :
 De la confiance
 De la confidentialité
 Et de l’intégrité
C’est ce qu’on va détailler tout de suite.
2. Sécurité et authentification
| Pour utiliser un réseau sans fil, les clients doivent d’abord découvrir, ce qu’on appelle, un
ensemble de services de base, le BSS (BSS « Basic Service Set »), afin de
demander l’autorisation de s’y associer. Les clients devront alors être obligatoirement
« authentifiés » par le point d’accès, pour accéder au LAN sans fil.
L’image montre le processus d’authentification de base, d’un client.
Cette authentification peut prendre plusieurs formes, mais généralement il s’agit d’une chaine
de texte statique qui est stockée sur le périphérique du client et qui est présentée au point
d’accès en cas de besoin… Le souci avec cette seule protection, c’est que si l’équipement de
l’utilisateur est perdu ou volé, et bien n’importe qui, pourra toujours se connecter au LAN, à
l’aide du PC.
Il existe aussi un autre danger sur ce type d’authentification.

Par exemple, admettons que vous êtes sur votre lieu de travail, ou à domicile, ou bien même,
dans un aéroport, et que vous rejoignez le point d’accès, le plus proche avec toute confiance.
| Alors même si le SSID (SSID « Service Set IDentifier») vous est familier, comment être sur
de la fiabilité du point d’accès ?
De plus, si le PC a déjà accroché le point d’accès, et bien il se connectera automatiquement, dès
qu’il verra le SSID de diffusé. Dans ces deux cas, vous pourriez très bien vous connecter à un
imposteur, sans avoir de doute… Il existe de nombreuses faille et attaques, dans lequel, un
utilisateur malveillant, se fait passer pour un point d’accès !
Et lorsque le client rejoint le faux- point d’accès, et bien l’attaquant peut facilement
intercepter toutes les communications à destination et en provenance du client depuis sa
position.

Pour empêcher ce type d’attaque, le client doit authentifier l’AP avant que le client lui-
même ne soit authentifié, comme le montre cette image.
Avec ce type de scénario, toutes les trames reçues par un client doivent également être
authentifiées, pour prouver qu’elles ont été envoyées par un vrai point d’accès. C’est à dire
reconnu et fiable.
3. Confidentialité des messages
| Nous allons maintenant parler de la confidentialité des messages qui circule dans les airs.
| Nous avons vu que le client doit s’identifier au point d’accès avant de rejoindre le réseau sans
fil, et qu’il peut aussi en vérifier sa fiabilité.
Ce qui procure une relation de confiance entre les deux équipements.
Le problème, c’est que même, s’il y’a une relation de confiance, entre le client et son point
d’accès, et bien, les données qui circulent vers et depuis le client sur le canal sont toujours
interceptablés par n’importe qui, présent bien sûr, dans la même zone.

Pour plus de sécurité et protéger ces données qui voyagent sur un réseau sans fil, ils doivent
être cryptés. C’est-à-dire que les données seront chiffrées avant de quitter l’émetteur, et
seront déchiffrées à la réception par celui qui les reçoit. Cette une méthode de cryptage que
l’émetteur et le récepteur partagent ensemble, afin que les données puissent
être confidentiel pendant leurs cheminements dans les airs. Dans les réseaux sans fil, chaque
WLAN peut prendre en charge une seule méthode d’authentification et de cryptage. C’est-à-
dire que tous les clients doivent utiliser le même procédé de cryptage lorsqu’ils s’associent.
Alors vue comme ça… On pourrait penser que le fait d’avoir une méthode de chiffrement en
commun permettrait à chaque client d’écouter tous les autres clients.
Et bien ce n’est pas vraiment le cas, car le point d’accès négocie une clé de chiffrement
unique, pour chaque client associé.
C’est-à-dire que chaque client aura sa propre clé de décryptage…
L’AP et le client seront les deux seuls appareils à avoir en commun les clés de chiffrement, afin
qu’ils puissent se comprendre. Aucun autre appareil ne peut connaître ou utiliser les mêmes
clés pour écouter et décrypter les données.
|Sur l’image, on voit que le mot de passe du client a été chiffré, avant d’être envoyé.
Seul le point d’accès pourra le décrypter avant de le transférer sur le réseau câblé. On a donc
vu que le point d’accès conserve une clé unique pour chaque client avec qui il échange des
données. Alors le point d’accès a aussi une « clé de groupe » qu’il utilise, quand il veut envoyer
des données chiffrées à tous les clients de sa zone, en même temps.
Et chacun des clients utilisera dans ce cas précis, la même clé de groupe pour déchiffrer les
données.
4. Contrôle d’intégrité des messages

| On a vu que le destinataire d’un message crypter est capable de le déchiffrer pour

récupérer son contenu, mais que se passe-t-il si quelqu’un parvient à modifier ce contenu en
cours de route ?
Parce que si ça arrive, le destinataire aurait beaucoup mal à savoir que les données d’origine
ont été modifiées… C’est là, qu’intervient : « le contrôle d’intégrité des messages », qu’on
retrouve sous les initiales de « MIC ».
Il s’agit d’un outil de sécurité qui permet de se peut protéger contre la falsification des données.
On peut voir ça, comme une « marque » qu’ajoute l’expéditeur à l’intérieur de ses données
cryptées. Ce marquage est basé sur la quantité de bits de données à transmettre. Et une fois que
le destinataire a déchiffré les données, il va comparer son marquage avec celui de l’expéditeur
et s’ils sont identiques, alors le destinataire supposera en toute sécurité que les données n’ont
pas été modifiées sur la route. L’image nous montre bien le processus de vérification du MIC.